К недостаткам шлюзов прикладного уровня относятся:

·более низкая производительность по сравнению с фильтрую­щими маршрутизаторами; в частности, при использовании кли­ент-серверных протоколов, таких как TELNET, требуется двух­шаговая процедура для входных и выходных соединений;

·Более высокая стоимость по сравнению с фильтрующим маршрутизатором

Помимо TELNET и FTP шлюзы прикладного уровня обычно используются для электронной почты, Х Windows и некоторых дру­гих служб.

Усиленная аутентификация

Одним из важных компонентов концепции межсетевых экранов является аутентификация (проверка подлинности пользователя). Прежде чем пользователю будет предоставлено право воспользоваться, тем или иным сервисом, необходимо убедиться, что он действительно тот, за кого себя выдает.

Одним из способов аутентификации является использова­ние стандартных UNIX-паролей. Однако эта схема наиболее уяз­вимо с точки зрения безопасности - пароль может быть перехва­чен и использован другим лицом. Многие инциденты в сети Internet произошли отчасти из-за уязвимости традиционных паролей. Зло­умышленники могут наблюдать за каналами в сети Internet и пере­хватывать передающиеся в них открытым текстом пароли, поэтому схему аутентификации с традиционными паролями следует при­знать устаревшей.

Для преодоления этого недостатка разработан ряд средств усиленной аутентификации; смарт-карты, персональные жетоны, биометрические механизмы и т.п. Хотя в них задействованы раз­ные механизмы аутентификации, общим для них является то, что пароли, генерируемые этими устройствами, не могут быть повтор­но использованы нарушителем, наблюдающим за установлением связи. Поскольку проблема с паролями в сети Internet является постоянной, межсетевой экран для соединения с Internet, не рас­полагающий средствами усиленной аутентификации или не ис­пользующий их, теряет всякий смысл .

Ряд наиболее популярных средств усиленной аутентификации, применяемых в настоящее время, называются системами с одноразовыми паролями. Например, смарт–карты или жетоны аутентификации генерируют информацию, которую хост-компьютер использует вместо традиционного пароля Результатом является одноразовый пароль, который, даже если он будет перехвачен, не может быть использован злоумышленником под видом пользователя для установления сеанса с хост- компьютером.

Так как межсетевые экраны могут централизовать управ­ление доступом в сети, они являются подходящим местом для ус­тановки программ или устройств усиленной аутентификации. Хотя средства усиленной аутентификации могут использоваться на ка­ждом хост-компьютере, более практично их размещение на межсе­тевом экране. На рис. показано, что в сети без межсетевого экрана, использующего меры усиленной аутентификации, неаутентифицированный трафик таких приложений, как TELNET или FTP, может напрямую проходить к системам в сети. Если хост-компьютеры не применяют мер усиленной аутентификации, зло­умышленник может попытаться взломать пароли или перехватить сетевой трафик с целью найти в нем сеансы, в ходе которых пере­даются пароли.

Неаутентифицированный Аутентифицированный

Трафик TELNET и FTP трафик TELNET и FTP

Межсетевой экран

с усиленной

аутентификацией

На рисунке показана также сеть с межсетевым экраном, использующим усиленную аутентификацию. В этом случае сеансы TELNET или FTP, устанавливаемые со стороны сети Internet с системами сети, должны проходить проверку с помощью средств усиленной аутентификации, прежде чем они будут разрешены, Системы сети могут запрашивать для разрешения доступа и статические пароли, но эти пароли, даже если они будут перехвачены злоумышленником, нельзя будет использовать , так как средства усиленной аутентификации и другие компоненты межсетевого экрана предотвращают проникновение злоумышленника или обход ими межсетевого экрана.

Основные схемы сетевой защиты на базе межсетевых экранов

При подключении корпоративной или локальной сети к гло­бальным сетям администратор сетевой безопасности должен ре­шать следующие задачи:

·защита корпоративной или локальной сети от несанкционированного доступа со стороны глобальной сети;

·скрытие информации о структуре сети и ее компонентов от пользователей глобальной сети,

·разграничение доступа в защищаемую сеть из глобальной сети и из защищаемой сети в глобальную сеть.

Необходимость работы с удаленными пользователями требует установки жестких ограничений доступа к информационным ресурсам защищаемой сети. При этом часто возникает потребность в организации в составе корпорационной сети нескольких сегментов с разными уровнями защищенности

·свободно доступные сегменты (например, рекламный WWW-сервер),

·сегмент с ограниченным доступом (например, для доступа со­трудникам организации с удаленных узлов),

·закрытые сегменты (например, локальная финансовая сеть организации) .

Для защиты корпоративной или локальной сети применя­ются следующие основные схемы организации межсетевых экранов:

·межсетевой экран - фильтрующий маршрутизатор;

·межсетевой экран на основе двупортового шлюза;

·межсетевой экран на основе экранированного шлюза;

·межсетевой экран – экранированная подсеть.

Межсетевой экран – фильтрующий маршрутизатор

Межсетевой экран, основанный на фильтрации пакетов, является самым распространенным и наиболее простым в реали­зации. Он состоит из фильтрующего маршрутизатора, расположен­ного между защищаемой сетью и сетью Internet (рис. 8.6). Фильт­рующий маршрутизатор сконфигурирован для блокирования или фильтрации входящих и исходящих пакетов на основе анализа их адресов и портов. Компьютеры, находящиеся в защищаемой сети, имеют прямой доступ в сеть Internet, в то время как большая часть досту­па к ним из Internet блокируется. Часто блокируются такие опасные службы, как Х Windows, NIS и NFS. В принципе фильтрующий маршрутизатор может реализовать любую из политик безопасно­сти, описанных ранее. Однако если маршрутизатор не фильтрует пакеты по порту источника и номеру входного и выходного порта, то реализация политики "запрещено все, что не разрешено в явной форме" может быть затруднена.